一、客戶（項目）背景

XXX證券作為本土最大的證券公司，深深根植于中國本土市場，在金融、電力、交通運輸、石油天然氣、石化、鋼鐵等重要領(lǐng)域，與中國最優(yōu)秀的企業(yè)建立了包括股票、債券發(fā)行與承銷、企業(yè)并購等綜合金融服務(wù)的業(yè)務(wù)關(guān)系，協(xié)助客戶實現(xiàn)其戰(zhàn)略發(fā)展的目標(biāo)。公司堅持規(guī)范、穩(wěn)健的經(jīng)營理念，理解金融企業(yè)的風(fēng)險屬性，始終堅持"正視風(fēng)險，分析和控制風(fēng)險，對風(fēng)險做到可測、可查、可控和可承受"；同時，建立MD體制管理體系，以人為本，培養(yǎng)和吸引了大量優(yōu)秀人才；積極開展業(yè)務(wù)創(chuàng)新，為客戶提供一流的服務(wù)；努力改善公司收入結(jié)構(gòu)，增強競爭實力，為股東創(chuàng)造更大的價值。

今年以來，由于股票市場的交易量的不斷攀升，網(wǎng)上交易和行情查詢的數(shù)據(jù)量迅猛發(fā)展，面對爆炸式的行情，對于服務(wù)器也提出了更高的要求。確保服務(wù)器響應(yīng)快速、順暢網(wǎng)絡(luò)瀏覽成了重中之重。不過，單純的增加后臺服務(wù)器的數(shù)量，顯然并不能很好地解決客戶的訪問問題。

1. 每增加的一臺行情或者交易服務(wù)器，都需要增加一個IP給用戶訪問，這樣用戶的前臺應(yīng)用使用的時候會感覺非常麻煩；

2. 由于后臺的服務(wù)器數(shù)量雖然眾多，但是無法很好地將用戶訪問進行分擔(dān)，導(dǎo)致某些服務(wù)器長期負(fù)載過高，某些服務(wù)器長期空閑；

3. 由于后臺大量的服務(wù)器需要管理，缺乏一個直觀的對后臺服務(wù)器應(yīng)用的健康狀況的檢查方案。

針對這些問題, XXX證券亟需尋求一種安全、可靠、穩(wěn)定的解決方案來徹底解決和改善目前的應(yīng)用環(huán)境。#p#

二、客戶需求

1. 高可用性和熱備功能

能夠在通過對多臺服務(wù)器進行負(fù)載均衡的同時，不會因為一臺服務(wù)器的宕機而導(dǎo)致整個系統(tǒng)的癱瘓。負(fù)載均衡本身也可實現(xiàn)冗余，達(dá)到多層冗余，多層熱備。

2. 可擴展性

能夠在不改變網(wǎng)路環(huán)境的情況下, 簡單地添加和移除應(yīng)用服務(wù)器，不影響整體應(yīng)用的性能， 做到透明部署。

3. 安全性

具備IDS/IPS等安全防護措施, 能夠防范諸如DOS, DDOS等攻擊, 確保后臺服務(wù)器不會因為黑客攻擊等事件導(dǎo)致整個系統(tǒng)的癱瘓, 影響業(yè)務(wù)流程。

4. 可管理性

豐富的日志、 報表功能，簡易高效的操作平臺，高效集中的管理模式，省去了管理眾多后臺服務(wù)器而消耗的無謂時間以及人力資源。

5. 高配置的硬件設(shè)備

千兆帶寬，多端口交換功能，高容量的內(nèi)存和緩存，能夠?qū)崿F(xiàn)在主干網(wǎng)絡(luò)上的拓?fù)?，不造成單點瓶頸。

6. 靈活的負(fù)載均衡算法

靈活豐富的負(fù)載均衡算法能夠確保在不同的應(yīng)用環(huán)境中, 有效地分配網(wǎng)絡(luò)流量, 充分利用服務(wù)器資源。

7. 高帶寬, 高并發(fā)連接能力

能夠?qū)崿F(xiàn)100,000～300,000 用戶的同時在線，千兆端口。#p#

三、梭子魚解決方案

本方案中，考慮到證券行業(yè)目前的特殊性, 梭子魚向XXX證券公司提供了兩套解決方案, 以供根據(jù)實際應(yīng)用和網(wǎng)絡(luò)環(huán)境實現(xiàn)更合理化、人性化的配置。

方案1: 

使用兩臺440梭子魚負(fù)載均衡機, 以服務(wù)器直接返回模式(DSR)將負(fù)載均衡設(shè)備接入網(wǎng)絡(luò)。

優(yōu)勢:

1. DSR模式為梭子魚獨有負(fù)載均衡工作模式，是專門針對如證券行業(yè)此種對高并發(fā)連接數(shù)有嚴(yán)格要求的行業(yè)開發(fā)的模式。

2. 簡單快速的網(wǎng)絡(luò)搭建，實現(xiàn)網(wǎng)絡(luò)拓?fù)淞愀膭印?/p>

方案2:

使用兩臺640梭子魚負(fù)載均衡機，以路由模式搭建。

優(yōu)勢:

1. 640屬于梭子魚負(fù)載均衡設(shè)備運營商級別的高端型號, 擁有10個千兆端口, SSL加速, 支持150,000新建連接數(shù), 15,000,000并發(fā)連接數(shù), 無需交換機就可以實現(xiàn)高帶寬的鏈路

2. 除增加IP網(wǎng)段, 無需改動網(wǎng)絡(luò)結(jié)構(gòu)。

梭子魚負(fù)載均衡機是提供本地的服務(wù)器群負(fù)載均衡和容錯的產(chǎn)品，在充分利用現(xiàn)有資源以及對IT基礎(chǔ)設(shè)施進行最小變動的前提下有效地進行流量的分配，從而提高服務(wù)器的處理性能。對客戶端而言，這一切都是透明的。

兩臺梭子魚負(fù)載均衡機做為一組, 對后臺服務(wù)器提供負(fù)載均衡服務(wù), 并且互為備份，采用"心跳"技術(shù)實時監(jiān)控伙伴設(shè)備的同時, 也實現(xiàn)了負(fù)載均衡設(shè)備的負(fù)載均衡。能夠避免SPOF和單點瓶頸的問題. 最大限度地發(fā)揮負(fù)載均衡的能力。

方案整體拓樸示意圖如下：

方案1

方案總體設(shè)計

1. 將負(fù)載均衡機直接接入分布交換機, 在分布層進行負(fù)載均衡

2. 針對不同的服務(wù)分別架設(shè)兩臺的負(fù)載均衡設(shè)備以在負(fù)載均衡的同時, 實現(xiàn)雙機熱備, 提高整體性能和可用性

3. 在LB中建立虛擬IP，并將后臺服務(wù)器與之綁定，形成虛擬服務(wù)

方案2

方案總體設(shè)計

1. 在核心交換機和接入交換機之間架設(shè)負(fù)載均衡機，在分布層進行負(fù)載均衡

2. 針對不同的服務(wù)分別架設(shè)兩臺的負(fù)載均衡設(shè)備以在負(fù)載均衡的同時, 實現(xiàn)雙機熱備, 提高整體性能和可用性

3. 在LB中建立虛擬IP，并將后臺服務(wù)器與之綁定，形成虛擬服務(wù)。#p#

四、梭子魚解決方案的優(yōu)勢

1. IP及Cookie的會話保持

梭子魚負(fù)載均衡機針對Windows終端服務(wù)提供了定制的負(fù)載均衡技術(shù)，可以選擇采用IP或Cookie保持的方式，充分保證終端客戶端的會話一致性，為電子商務(wù)等提供可靠的會話持續(xù)性。

2. 完全冗余鏡像/"心跳"技術(shù)實時監(jiān)控

梭子魚負(fù)載均衡機的冗余配置非常簡單的，它們之間不需要任何的特殊電纜相連，只要可以IP尋址到即可。物理拓樸為簡單易行的路由模式。當(dāng)一臺梭子魚負(fù)載均衡機由于檢修或故障的原因停機后，這時另一臺梭子魚負(fù)載均衡機會以最快的速度接管其工作。

梭子魚負(fù)載機秒級故障切換技術(shù)，確保了終端服務(wù)系統(tǒng)的不間斷運行。

3. 先進的服務(wù)器管理技術(shù)

梭子魚負(fù)載均衡機可以對不同性能的服務(wù)器進行加權(quán)計算，對性能好的服務(wù)器可以多分擔(dān)一些流量。對有用戶數(shù)限制的服務(wù)器，梭子魚負(fù)載均衡機通過連接數(shù)限制技術(shù)，從而保證服務(wù)器連接不會超過限制，同時也保證了性能一般的服務(wù)器不會因為連接太多而宕機。

梭子魚負(fù)載均衡主要有兩種調(diào)度類型，三種動態(tài)權(quán)重調(diào)度方式。

加權(quán)輪巡策略(WRR)

輪巡是指將來自客戶端的請求依次分配給服務(wù)器進行響應(yīng)。但是由于服務(wù)器的性能并不完全相同，有的性能高，處理能力強；有的性能低，處理能力弱。因此簡單的輪循對服務(wù)器不能做到"因材施用"，這就需要引入權(quán)重的概念。權(quán)重高的服務(wù)器將優(yōu)先響應(yīng)連接。

加權(quán)最小連接數(shù)策略(WLC)

最小連接數(shù)策略是指負(fù)載均衡機總是選擇當(dāng)前連接數(shù)最小的服務(wù)器響應(yīng)客戶端的請求。同樣這種方式也沒有考慮到不同服務(wù)器間性能的差異，而且沒有考慮服務(wù)器當(dāng)前的工作狀態(tài)，因此無法做到"動態(tài)均衡"。

權(quán)重調(diào)度的方式(Adaptive Scheduling)：

(1) 自定義方式。管理員根據(jù)服務(wù)器的性能，指定相應(yīng)服務(wù)器的權(quán)重。

(2) 通過SNMP_CPU自動調(diào)整服務(wù)器權(quán)重。梭子魚通過探測服務(wù)器CPU的負(fù)載自動調(diào)整權(quán)重，負(fù)載越低，權(quán)重約大。

(3) 通過LOAD_URL自動調(diào)整服務(wù)器權(quán)重，梭子魚通過測試服務(wù)器打開LOAD_URL頁面，根據(jù)該頁面返回值（0-100）來自動調(diào)整權(quán)重。

4. 多層實時的服務(wù)器健康檢查

梭子魚負(fù)載均衡機會實時地對后臺服務(wù)器進行健康檢查，并決定在真實服務(wù)器不可用情況下服務(wù)如何處理。梭子魚負(fù)載均衡機服務(wù)監(jiān)控機制可以通過3/4層上（PING, PORT 等），以及7層 （DNS, HTTP, SMTP 等）來實現(xiàn)。

5. 擴充能力靈活

梭子魚負(fù)載均衡機與任何品牌、使用界面、操作系統(tǒng)的網(wǎng)絡(luò)服務(wù)器均兼容，在安裝時完全不須改變企業(yè)原有的網(wǎng)路架構(gòu)。當(dāng)您為業(yè)務(wù)擴充而更新網(wǎng)絡(luò)服務(wù)器，新設(shè)備只要與梭子魚負(fù)載均衡機連接，您不須費時集成新舊設(shè)備、或統(tǒng)合協(xié)定機制。因此梭子魚負(fù)載均衡機使您對網(wǎng)絡(luò)服務(wù)器的投資更為靈活，隨時依企業(yè)需求而彈性更新網(wǎng)絡(luò)架構(gòu)；若您的企業(yè)將擴張至全球，梭子魚負(fù)載均衡機靈活的擴充能力，幫助您輕松添加全球服務(wù)的行列。

6. 集成IPS功能

梭子魚負(fù)載均衡機裝備了一個實時更新的入侵檢測系統(tǒng)，通過梭子魚動態(tài)更新機制即時獲攻擊規(guī)則庫，可以保護被負(fù)載均衡的服務(wù)器抵御任何最新的基于連接的攻擊，包括以下類型：

●病毒擴散： 如NIMDA與紅色代碼這樣的網(wǎng)絡(luò)傳播病毒

●緩存區(qū)溢出： 一種常見的獲取控制權(quán)的惡意攻擊方式

● 協(xié)議相關(guān)：針對一些特定協(xié)議如SMTP、DNS或者LDAP的攻擊.

●應(yīng)用相關(guān)：針對一些特定應(yīng)用的攻擊如IIS、Websphere、Cold Fusion或者 Exchange.

●操作系統(tǒng)相關(guān)：針對已知的不同操作系統(tǒng)弱點的攻擊，如微軟Windows系統(tǒng)

7. SSL Offloading

SSL Offloading的加入能夠?qū)㈦娮由虅?wù), 電子政務(wù), 電子稅務(wù)等網(wǎng)站的SSL密鑰計算在負(fù)載均衡設(shè)備上完成, 有效地減少應(yīng)用服務(wù)器因為SSL計算而產(chǎn)生的負(fù)載，更大程度地提升了整體應(yīng)用性能。